AI-agenter luras av förgiftade loggar — och ingen märker det förrän det är för sent
Forskare avslöjar hur angripare lurar AI-agenter via förgiftade systemloggar.
När AI:n inte längre litar på sin egen miljö
Det finns en grundläggande förutsättning för att ett AI-system ska fungera som avsett: det måste kunna lita på den information det tar in. Den förutsättningen är nu under attack.
Säkerhetsforskare vid det israeliska företaget Tenet har demonstrerat en angreppsmetod de kallar Ghostjacking — och den är elegant på ett obehagligt vis. Istället för att bryta sig in i ett system på traditionellt sätt planterar angriparen helt enkelt dolda instruktioner som vanlig text i loggar eller varningsmeddelanden. När en AI-agent sedan läser dessa loggar, i tron att det är tillförlitlig driftsdata, tolkar och utför den de inbäddade kommandona.
Det som gör attacken särskilt oroande är valet av måltavlor, rapporterar SecurityWeek. Metoden har demonstrerats mot Cloudflare, Datadog och Sentry — tre plattformar som tillsammans utgör ryggraden i otaliga moderna driftsättningar. Cloudflare hanterar ungefär en femtedel av all global webbtrafik. I ett av scenariona blockerar Cloudflares brandvägg en skadlig förfrågan, loggar den ordagrant — och när en AI-agent ombeds granska händelsen läser den instruktionerna och ändrar DNS-inställningar så att domänen pekar mot angriparens servrar. Nio av tio gånger, mot Claude Code.
Detta är en påminnelse om något vi systemutvecklare gärna glömmer bort: AI-agenter som ges befogenhet att agera i produktionsmiljöer är inte bara kraftfulla verktyg — de är också en ny attackyta vi ännu inte fullt ut förstår hur vi ska härda.
Blinda fläckar djupt inne i maskinvaran
Precis när man tänkt klart kring programvarusäkerheten dyker nästa lager upp. Parallellt med Ghostjacking-avslöjandet lanserades uppstartsföretaget Stealthium, vars uppdrag är att täppa till säkerhetshål i det som SecurityWeek beskriver som neo-moln — en ny generation molntjänster byggda specifikt kring AI-beräkningar, med aktörer som CoreWeave och Nebius.
Problemet är strukturellt: traditionella säkerhetsverktyg har under decennier utvecklats kring vanliga operativsystem och processorarkitekturer. De saknar helt enkelt insyn i de specialiserade AI-acceleratorernas höghastighetsminne. Ett angrepp kan pågå helt obemärkt, hos både leverantör och kund. Som ett färskt exempel lyfter SecurityWeek skadeprogrammet Januscape, som utnyttjade en sårbarhet i virtualisering för att sälja tillgång till andras beräkningsmiljöer.
Det är en tankeväckande kombination: i det övre lagret kan angripare lura AI-agenter via text. I det undre lagret kan de gömma sig i hårdvaran. Hela stacken är under press.
Men användarna är inte passiva åskådare
Mitt i detta säkerhetslandskap pågår något annat — något som faktiskt ger viss anledning till optimism. Enligt en ny Gallup-undersökning, som Wired rapporterar om, har ökad kännedom om generativ AI sammanfallit med alltmer negativa attityder. Bland unga mellan 18 och 29 år anser nästan hälften att tekniken gör mer skada än nytta.
Men det starka i den rapporten är inte siffran i sig — det är att motståndet faktiskt biter. Meta stängde av ett verktyg för djupförfalskningar av Instagrams användare efter bara tre dagar, sedan kritik spritt sig viralt. Google drog tillbaka en funktion för manipulation av satellitbilder nästan omedelbart. LinkedIn, Snapchat och Substack har alla infört åtgärder mot helautomatiserat AI-innehåll.
Kärnan i missnöjet handlar om samtycke, konstaterar Meredith Broussard, professor i datajournalistik vid New York University: användare har vaknat upp till att deras digitala liv skrapats ihop för att träna modeller, att djupförfalskningar skapats av deras ansikten — allt utan att någon frågat. "Teknikföretag har aldrig riktigt varit känsliga för frågor om samtycke", säger hon.
Det är en rättvis kritik. Och den folkliga reaktionen är inte irrationell teknikovilja — den är ett legitimt svar på ett verkligt demokratiskt underskott i hur AI-system driftsatts.
Ett mönster värt att ta på allvar
Tillsammans berättar dessa tre händelser något viktigt: AI-omställningen rör sig snabbare än de skyddsnät vi bygger runt den. Säkerhetsmodeller är inte anpassade för agentbaserade system. Infrastrukturen har blinda fläckar vi inte ens har verktyg att se. Och den sociala legitimiteten — förtroendet från de människor vars data och vardag berörs — tas alltför lätt för given.
Detta är inte skäl att bromsa. Det är skäl att bygga smartare.
Vår analys
Det som slår mig när jag väger dessa tre händelser mot varandra är att de alla kretsar kring samma grundläggande fråga: vem kontrollerar egentligen AI-systemet?
Ghostjacking visar att en AI-agent kan manipuleras att tro att fientliga instruktioner är tillförlitlig driftsdata. Säkerhetsluckorna i neo-molnet visar att infrastrukturen kan komprometteras utan att någon märker det. Och användarmotståndet visar att den viktigaste kontrollfrågan av alla — vem som bestämmer hur tekniken används — fortfarande är olöst.
Jag tror att vi befinner oss i en kritisk fas där branschen måste ta säkerhet och samtycke lika seriöst som prestanda och skalbarhet. Det goda är att trycket nu kommer från flera håll samtidigt: säkerhetsforskare, nya säkerhetsföretag och en allmänhet som inte längre accepterar att bli överkört. Det är faktiskt en sund dynamik — och på sikt det som gör AI-omställningen hållbar.